区分阅读、参与和发送权限

以下示例与示意结果由本站编写，用于说明方法，不是模型实测结果。

使用场景

群聊显示名叫Internal，但真实适配器身份属于外部频道。Agent在历史中出现，也不表示本次对人的提问允许它发内部调试轨迹。

具体做法

从可信适配器核平台/工作区/频道身份，先按访问政策决定是否可观察。分别判断当前参与请求、受众可见内容和传输授权；当前明确请求也须政策允许，历史机器人参与不授同意。生成后在发送、编辑和流片段前复核完整目标及授权，目标变了重新判；未知受众保持外部安全。

反例

显示名Internal且机器人曾回复，所以把内部轨迹直接发群，别人问人也自动插话。

改进写法

按真实外部频道ID处理当前请求。问人不参与；明确问Agent且策略允许，仅生成范围内业务答复。内部轨迹留已核操作者界面，每次传输前核目标与授权，换目标不能沿用旧许可。

为什么这样改

阅读、参与与交付各有边界，任意一项满足不能推另外两项。可信身份与传输复核防止显示名、历史或改目标扩大权限。

如何验证

教学人类定向消息静默，授权Agent请求可业务回复，目标从外部C1改C2需重核。内部异常或审批元数据不可混到外部答复。没有真实发送则只称状态判断设计。

适用边界

提示不是传输约束，须覆盖直接发送、编辑、stream及辅助入口。政策因平台和受众而异，DM也不自动内部；本条不授权当前发送任何消息。